本文为您介绍管理资源分组的操作场景、前提条件和操作步骤。 操作场景 使用资源分组，可以将不同类型的产品加入同一分组中进行管理。您也可以根据需求在控制台随时查看、添加、移除组内资源。 前提条件 注册天翼云账号，并完成实名认证。具体操作，请参见天翼云账号注册流程。 您已完成云资源的创建。 您已完成资源分组的创建。 操作步骤 查看组内资源 1. 登录控制中心。 2. 在控制中心页面左上角点击，选择区域，本文我们选择华东1。 3. 依次选择“管理与部署”，单击“云监控”，进入监控概览页面。 4. 单击“资源分组”，进入“资源分组”列表页。 5. 单击目标资源组所在行的“详情”，进入资源分组详情页。 6. 在“资源详情”页签可查看组内资源详情列表。 添加组内资源 1. 单击目标资源组所在行的“详情”，进入资源分组详情页。 2. 单击“资源详情”页签，单击“添加资源”按钮，按照页面提示添加云服务资源。 3. 增加组内已有的云服务类型，单击对应云服务后的“选择”按钮，在弹出的对话框中选择要添加的资源，点击“确定”按钮。 4. 添加组内没有的云服务类型，点击“添加云服务”，并按照提示依次选择要添加的云服务、维度、资源。

本章节主要介绍翼MapReduce服务的作业管理功能。 作业管理为用户提供向集群提交作业的入口，支持包括MapReduce、Spark、HiveQL和SparkSQL等类型的作业。结合数据湖治理中心（DataArts Studio），提供一站式的大数据协同开发环境、全托管的大数据调度能力，帮助用户快速构建大数据处理中心。 通过数据湖治理中心（DataArts Studio），用户可以先在线开发调试MRS HiveQL/SparkSQL脚本、拖拽式地开发MRS作业，完成MRS与其他20多种异构数据源之间的数据迁移和数据集成；通过强大的作业调度与灵活的监控告警，轻松管理数据作业运维。

创建快照 创建快照时，您可以从云硬盘页面和云硬盘快照页面两个入口进入操作界面。 云硬盘页面创建快照 1. 登录控制中心。 2. 单击控制中心左上角的，选择地域，此处我们选择华东1。 3. 单击“存储>云硬盘”，进入云硬盘主页面。 4. 在云硬盘页面，单击待创建快照的云硬盘所在行“操作>更多>创建快照”, 进入“创建快照”页面。 5. 根据界面提示，配置云硬盘快照的基本信息。各配置项说明如下： 参数 说明 选择资源 选择待创建快照的云硬盘，仅支持单选。 包含云硬盘名称和ID，默认展示，不可更改。 快照名称 自定义所创建的快照名称。 以大小写字母开头，可包含数字，‘’或‘’。 保留时间 设置快照保留天数，永久保留或自定义保留天数。 选中永久保留后，系统不会主动删除手动快照，直到用户手动删除。 选中自定义保留时间后，您可指定该快照的保留时间，到期后系统将自动删除快照。支持165536天。 6. 确定云硬盘快照的配置信息后，点击“下一步”，进入“资源详情”页面。 7. 在“资源详情”页面，您可以再次核对云硬盘快照信息。确认无误后，阅读并勾选服务协议，点击“立即购买”。 8. 购买之后会自动跳转至云硬盘快照界面，找到创建的快照，确认快照状态为“可用”，表示创建成功。 云硬盘快照页面创建快照 1. 登录控制中心。 2. 单击控制中心左上角的，选择地域，此处我们选择华东1。 3. 单击“存储>云硬盘”，进入云硬盘主页面。 4. 单击左侧导航栏中的“云硬盘快照”，进入云硬盘快照页面。 5. 点击右上角“创建云硬盘快照”按钮，进入创建界面。 6. 根据界面提示，选择待创建快照的云硬盘，并配置云硬盘快照的基本信息。各配置项说明如下： 参数 说明 选择资源 选择待创建快照的云硬盘，仅支持单选。 包含云硬盘名称和ID，默认展示，不可更改。 快照名称 自定义所创建的快照名称。 以大小写字母开头，可包含数字，‘’或‘’。 保留时间 设置快照保留天数，永久保留或自定义保留天数。 选中永久保留后，系统不会主动删除手动快照，直到用户手动删除。 选中自定义保留时间后，您可指定该快照的保留时间，到期后系统将自动删除快照。支持165536天。 7. 确定云硬盘快照的配置信息后，点击“下一步”，进入“资源详情”页面。 8. 在“资源详情”页面，您可以再次核对云硬盘快照信息。确认无误后，阅读并勾选服务协议，点击“立即购买”。 9. 购买之后会自动跳转至云硬盘快照界面，找到创建的快照，确认快照状态为“可用”，表示创建成功。

本节介绍云下一代防火墙到到期与欠费。 到期 云下一代防火墙到期后，请在3个工作日内完成续订，否则无法正常使用。 注意 所有在云下一代防火墙后挂载运行的业务均会有业务中断的风险，业务中断的风险及影响还请用户根据自身业务自行评估；云墙到期1天后会锁定配置，无法进行配置变更和运维处理。 欠费 另外当使用时长超出购买时长时，即属于欠费状态。 欠费后，系统会回收云下一代防火墙安全产品，上述产品中的所有配置和信息均无法恢复。 建议 请到期后立刻申请续订，按照官网流程提供续订申请； 如遇紧急业务故障，请将弹性IP解绑回业务主机进行业务恢复。

本文为您介绍,如何使用Packer工具快速制作私有镜像文件,以便您通过镜像导入功能上传私有镜像。 操作场景 用户上云部署应用前，获取的镜像通常为从操作系统官方下载 .iso 格式的原始镜像文件，此格式文件无法在天翼云平台上直接使用。需要用户基于ISO制作对应格式的镜像文件后（如 .qcow2），才可以导入为弹性云主机实例可用的私有镜像。 Packer 是一款开源的虚拟机镜像构建工具，可以通过一个HCL或者JSON格式模板配置可以快速的创建主流的操作系统云主机镜像。Packer包含构建器（Builder）、配置器（Provisioner）、后处理器（PostProcessor）三个组件。 本文提供Packer工具的使用全流程，为您介绍如何构建天翼云可用的镜像文件，帮助您快速上云。 约束与限制 当前仅支持x86架构的私有镜像构建，ARM架构的私有镜像构建方法正在建设中。 对于x86架构中的海光类型是否支持，取决于原始镜像本身是否已可以在海光芯片上正常启动和运行。 操作步骤 使用 Packer 构建镜像文件的过程如下： 1. 需要您准备一台本地的物理机或虚拟机，在其中构建制作私有镜像的虚拟化环境。 2. 安装 Packer 软件与关联插件，根据天翼云的镜像配置要求，设定配置模板。 3. 执行 Packer 构建命令，构建镜像文件。

本文简述权限管理配置平台及具体操作方法。 背景说明 一般情况下，客户只需一个天翼云账号即可管理在天翼云上购买的DDoS高防（边缘云版）。如果存在需要为企业内部的员工设置不同的访问权限，以达到不同员工之间权限隔离的效果，则可以使用天翼云CDN+统一身份认证服务（CDN+ Identity and Access Management，简称CDN+IAM）进行精细的权限管理。本文主要介绍相关操作步骤。 操作步骤 步骤一：登录CDN+IAM平台 1、平台登录入口：天翼云CDN+IAM。 2、进入账号登录界面，请单击【其他登录方式】里的第一个图标（如下图1），随即自动跳转到天翼云账号登录界面（如下图2），输入官网账号和密码后，单击【登录】。 步骤二：创建工作区 工作区是一个租户的概念，在工作区里可以共享合作，可实现团队管理，角色管理，子用户管理等操作。 完成登录CDN+IAM平台后，系统已为您创建了一个系统内置工作区。 若没有系统内置工作区，您可以自行创建工作区。操作方式为在界面右上角，单击【新增】。 步骤三：创建用户组 为了让企业中的其他员工也可以访问DDoS高防（边缘云版）服务控制台，您可以创建用户组，子用户在工作区中创建，与工作区绑定。具体操作为：在【子用户管理】目录，单击【新增】，填写子用户相关基本信息后，单击【确定添加】，即可完成子用户新增。 完成创建子用户后，子用户可使用登录凭据和密码，登录：天翼云CDN+IAM。 说明 创建的子用户默认只有 CDN+IAM团队成员的权限，仅可以登录CDN+IAM和访问该工作区。如果您需要给子用户赋予更多的权限，则需要操作第四步。

本文介绍Web应用防火墙(边缘云版)是否可以和CDN一起接入。 Web应用防火墙（边缘云版）可以和CDN一起接入。 Web应用防火墙（边缘云版）和CDN一起接入，是指CDN融合了Web应用防火墙（边缘云版）能力，在CDN节点上提供Web应用防火墙（边缘云版）防护功能。Web应用防火墙（边缘云版）防护具体功能，请参见Web应用防火墙（边缘云版）功能介绍。 前提条件 已开通天翼云CDN加速计费，且已经将域名添加到CDN加速控制台。 已完成Web应用防火墙（边缘云版）产品开通。 CDN控制台域名的加速范围选择为中国内地。 操作步骤 1. 登录Web应用防火墙（边缘云版） 控制台。 2. 选择域名管理—域名列表，点击【添加域名】。 3. 填写网站域名后，点击【确认】进行产品关联，同步网站通用配置，并单击【下一步】。 4. 根据页面配置指引，完成安全防护配置。

监控说明 用户可以通过云监控控制台查看NAT网关的监控指标详情。 操作步骤 1. 登录天翼云控制中心，选择目标区域节点。选择“管理与部署>云监控”，进入云监控页面。 2. 点击左侧导航栏云服务监控下拉菜单中的NAT网关监控，在待查看的NAT网关操作栏点击“查看监控图表” 3. 进入监控详情页，可查看具体的监控指标 监控周期：可选1小时，3小时，12小时，24小时，近7天和15天，也可自定义选择时间段 监控指标：见支持的监控指标，图表展示监控周期内指标变化及当前指标的最大值最小值。 监控明细：基于云主机的内网IP监控明细数据展示，支持按照并发连接数排序。展示Top20的并发连接数云主机。 Top20展示的是某一分钟内的Top20数据，支持选择当前时刻前的24小时。 4. 根据监控指标调整产品配置 对于并发连接数使用率、规格超限丢弃报文数等和实例规格相关的监控指标，可以设置告警规则，当监控数据超过设定的阈值时，您需要关注NAT网关的实例规格是否满足业务流量，如果无法满足当前的业务流量，请及时对NAT网关进行升配。

本文为您介绍IAM的快速入门指引。 前提条件 请确保您已拥有帐号，若您还没有帐号，请先进行注册。 场景示例 某互联网公司A使用了天翼云服务，该公司位于中国深圳，有三个职能团队。为了方便A公司统一购买、分配资源并管理用户，A公司的人员不需要每人都注册天翼云帐号，而是由公司的管理员注册一个帐号，在这个帐号下创建IAM用户并分配权限，然后将创建的IAM用户分发给公司的人员使用。 本文以A公司使用IAM创建用户及用户组为例，帮助您快速了解企业如何使用IAM完成服务权限的配置。 A公司人员组成 负责管理公司的人员以及资源的管理团队（对应图1中的“admin”），进行权限分配，资源调配等。团队成员包括员工甲和员工乙。 负责开发公司网站的开发团队（对应图1中的“开发人员组”），团队成员包括员工丙和员工丁。 对开发团队开发出的网站进行测试的测试团队（对应图1中的“测试人员组”），团队成员包括员工丁和员工戊 。其中，员工丁同时负责开发及测试，因此他需要同时加入“开发人员组”及“测试人员组”，以分别获得两个用户组的权限。 图1 用户管理模型 A公司业务组成 admin组主要负责公司人员权限分配，需要使用IAM服务完成其他用户的权限控制。 开发人员组在网站开发过程中，需要使用弹性云主机、弹性负载均衡、虚拟私有云、云硬盘以及密钥管理。 测试人员组主要负责网站的功能及性能测试，需要使用云监控。 用户管理流程 A公司的管理员使用注册的帐号登录天翼云，创建“开发人员组”及“测试人员组”，并给用户组授权。操作步骤请参见：第一步：创建用户组和授权。 A公司的管理员给三个职能团队中的成员创建IAM用户，并让他们使用新创建的用户登录天翼云。操作步骤请参见：第二步：创建IAM用户和登录。

本章节会介绍如何创建只读实例 操作场景 只读实例用于增强主实例的读能力，减轻主实例负载。 关系型数据库实例创建成功后，可根据业务需要创建只读实例。 说明 一个主实例中，最多可以增加5个只读实例。 目前，云数据库Microsoft SQL Server仅2017企业版及以上版本的实例支持新增只读实例。 操作步骤 步骤1：登录管理控制台。 步骤2：单击管理控制台左上角的，选择区域和项目。 步骤3：选择“数据库> 关系型数据库”。进入关系型数据库信息页面。 步骤4：在“实例管理”页面，选择指定的实例，单击“创建只读”，进入“服务选型”页面。 您也可在实例的“基本信息”页面，单击实例拓扑图中，主实例下方的添加按钮，创建只读实例。 步骤5：在“服务选型”页面，填选实例相关信息后，单击“立即创建”。 基本信息 参数 描述 当前区域 只读实例默认与主实例在同一区域。 实例名称 实例名称长度最小为4字符，最大为64个字符，如果名称包含中文，则不超过64字节（注意：一个中文字符占用3个字节），必须以字母或中文开头，区分大小写，可以包含字母、数字、中划线、下划线或中文，不能包含其他特殊字符。 数据库引擎 默认与主实例的数据库引擎一致，不可更改。 数据库版本 默认与主实例的数据库版本一致，不可更改。 存储类型 实例的存储类型决定实例的读写速度。最大吞吐量越高，读写速度越快。 可用区 关系型数据库服务支持在同一个可用区内，或者跨可用区部署数据库主实例和只读实例，以提高可靠性。 规格与存储 参数 描述 性能规格 实例的CPU和内存。不同性能规格对应不同连接数和最大IOPS。 存储空间 您申请的存储空间会有必要的文件系统开销，这些开销包括索引节点和保留块，以及数据库运行必需的空间。只读实例的存储空间大小默认与主实例一致。 网络 参数 描述 虚拟私有云 和主实例相同。 子网 和主实例相同，创建只读实例时RDS会自动为您配置内网地址，您也可输入子网号段内未使用的内网地址，实例创建成功后该内网地址暂不可修改。 安全组 和主实例相同。 步骤6：在“规格确认”页面，进行信息确认。 如果需要重新选择，单击“上一步”，回到服务选型页面修改基本信息。 信息确认无误后，单击“提交”，下发新增只读实例请求。 步骤7：只读实例创建成功后，用户可以在“实例管理”页面，选择只读实例所对应的实例，单击对其进行查看和管理。 您也可以在基本信息页面的“实例拓扑图”中，单击只读实例的名称，进入该只读实例的“基本信息”页面，对其进行查看和管理。

通过控制台设置 决定工作负载的Pod不和哪些工作负载的Pod部署在同一个拓扑域。 步骤 1 登录CCE控制台，在左侧导航栏中选择“工作负载 > 无状态负载 Deployment”或“工作负载 > 有状态负载 StatefulSet”。 步骤 2 在无状态工作负载或有状态工作负载列表中，单击工作负载名称进入详情页，在“调度策略”页签下，单击 “自定义调度策略”。 步骤 3 在工作负载反亲和性设置中，依据工作负载中标签同时还可以配置命名空间和拓扑域进行业务需求的设置。 说明： 工作负载反亲和性调度支持必须满足和尽量满足（硬约束Required/软约束Preferred），以及可以设置相应的匹配关系（In、 NotIn、Exists、DoesNotExist）： 必须满足：即硬约束，设置必须要满足的条件，对应于requiredDuringSchedulingIgnoredDuringExecution，您可以添加多条必须满足的规则。在规则中还需要设置命名空间和拓扑域。 尽量满足：即软约束，设置尽量满足的条件，对应于preferredDuringSchedulingIgnoredDuringExecution，您可以添加多条尽量满足的规则，无论是满足其中一条或者是都不满足都会进行调度。另外可以为规则设置权重值，权重值越高会被优先调度。 命名空间：即namespaces，默认情况下使用和当前工作负载相同的命名空间，您可以设置其他的已有的命名空间。 拓扑域：即topologyKey，拓扑域通过设置工作节点的标签，包含默认和自定义标签，用于指定调度时作用域。 选择器：对应于matchExpressions，您可以添加多条选择器，多条选择器之间是一种“与”的关系，即需要满足全部选择器才能依据此条规则进行调度。 标签名：对应工作负载的标签，您可以使用默认标签app或者使用自定义标签。 匹配关系：即操作符，可以设置四种匹配关系（In, NotIn, Exists, DoesNotExist）。In和NotIn操作符可以添加单个值或者多个value值（多值使用；进行划分），Exists和DoesNotExist判断某个label是否存在，不需设置value值。 通过kubectl命令行设置 本节以nginx为例，创建工作负载的节点反亲和性。 前提条件 已有使用nginx容器的工作负载和节点。 操作步骤 使用默认的命名空间default，拓扑域使用内置的节点标签kubernetes.io/hostname用于表示以节点为区分范围，设置标签app，标签值为redis。同时设置操作符为In，最后单击“确定”提交。 设置后的工作负载反亲和性所得的yaml如下： apiVersion: extensions/v1beta1 kind: Deployment metadata: name: nginx namespace: default spec: replicas: 2 selector: matchLabels: app: nginx template: metadata: labels: app: nginx spec: imagePullSecrets: name: defaultsecret affinity: podAntiAffinity: requiredDuringSchedulingIgnoredDuringExecution: labelSelector: matchExpressions: key: app operator: In values: redis namespaces: default topologyKey: kubernetes.io/hostname

本章节主要介绍新建审核人。 在发布API时，会触发审核，审核机制如下： 当发布人不具备审核人权限时，发布API时需要提交给审核人审核。 当发布人具备审核人权限时，可无需审批直接发布API。工作空间管理员角色的用户默认具备审核人权限。 因此，如果不具备审核人权限的用户需要发布API时，请先添加审核人。只有工作空间管理员角色的用户才具有添加审核人的权限。 操作步骤 1.在DataArts Studio控制台首页，选择实例，点击“进入控制台”，选择对应工作空间的“数据服务”模块，进入数据服务页面。 详见下图： 选择数据服务 2.在左侧导航选择服务版本（例如：专享版），进入总览页。 3.单击左侧导航栏中的“审核中心”，进入相应页面后，选择“审核人管理”页签，然后单击“新建”按钮。 详见下图： 新建审核人界面 4.选择审核人（此处的帐户列表来自于工作空间成员），输入正确的手机号码和电子邮箱，单击“确认”完成审核人的添加。 5.根据需要，可以添加多个审核人。

本章节介绍目标规则功能 概述 目标规则（DestinationRule）定义了服务分组以及请求选定了路由之后，sidecar对上游服务请求的行为，例如负载均衡、连接池大小、故障节点剔除等策略，本文说明如何创建、修改、删除目标规则。 创建目标规则 1. 登录服务网格控制台，选择流量管理中心 > 目标规则菜单，选择相应的命名空间。 2. 页面左上角选择使用YAML创建，当前提供了不同的场景配置模板。 3. 可以基于模板修改，或者根据自己的需求编辑配置。 修改目标规则 1. 进入服务网格控制台，选择流量管理中心 > 目标规则菜单，选择相应的命名空间。 2. 页面会展示当前所选命名空间下的目标规则列表，右侧操作栏选择编辑操作。 3. 修改完成后提交即可。 删除目标规则 1. 进入服务网格控制台，选择流量管理中心 > 目标规则菜单，选择相应的命名空间。 2. 页面会展示当前所选命名空间下的目标规则列表，右侧操作栏选择删除操作。 目标规则资源配置示例及关键字段说明 下面目标规则定义了bookinfo ratings服务的默认负载均衡策略为LEASTREQUEST，同时定义了一个版本子集testversion，对应服务的标签是version: v3，对于testversion版本定义了独立的负载均衡策略是ROUNDROBIN。 apiVersion: networking.istio.io/v1beta1 kind: DestinationRule metadata: name: bookinforatings spec: host: ratings.prod.svc.cluster.local trafficPolicy: loadBalancer: simple: LEASTREQUEST subsets: name: testversion labels: version: v3 trafficPolicy: loadBalancer: simple: ROUNDROBIN 上面的例子可以看到目标规则可以定义服务的负载均衡策略、版本分组策略等，具体的配置说明如下：

本节主要介绍如何查看实例监控信息。 操作场景 当剧本执行完成后，剧本实例管理列表中会生成剧本实例，即剧本实例监控。实例监控列表每条记录是一个实例，可呈现实例的历史实例任务列表，以及历史实例任务的运行情况。 约束与限制 流程实例最大手动重试次数为3次，且重试之后，须等剧本执行完毕之后才允许再次重试。 操作步骤 1. 登录管理控制台。 2. 单击页面左上方的，选择“安全 > 态势感知（专业版）”，进入态势感知（专业版）管理页面。 3. 在左侧导航栏选择“工作空间 > 空间管理”，并在工作空间列表中，单击目标工作空间名称，进入目标工作空间管理页面。 4. 在左侧导航栏选择“安全编排 > 剧本编排”，进入剧本管理页面后，选择“实例管理”页签，进入实例管理页面。 5. 在实例管理列表中，可查看实例名称、剧本名称、数据类等，参数说明如下表所示。 参数名称 参数说明 实例名称 实例的名称。 剧本名称 实例对应的剧本名称。 数据类 剧本的运营对象，即数据类。 触发方式 实例的触发方式。 定时触发 事件触发 状态 实例的状态。 成功：剧本实例成功执行。 失败：剧本实例执行失败，单击操作列的重试可重新执行剧本。 运行中：剧本实例处于运行状态，单击操作列的终止可终止剧本。 重试中：剧本实例正在重试中。 终止中：剧本实例正在终止。 已终止：剧本实例已经成功终止。 上下文 实例的上下文信息。 实例创建时间 实例创建的具体时间。 实例结束时间 实例结束的具体时间。 操作 用户可执行终止、重试等操作。 6. 如需查看某个实例的详细信息，可以单击任一实例名称，进入剧本实例图页面，可查看实例流程图和流程节点信息。

本文为您介绍如何对已经开启的云搜索服务Elasticsearch实例进行备份。 天翼云云搜索服务支持使用对象存储保留实例在指定时间的快照信息 约束限制 备份管理功能上线前创建的实例无此功能。 实例快照会导致CPU、磁盘IO上升等影响，建议在业务低峰期进行操作。 实例异常时，不可创建快照，仅能查看已创建的快照，恢复时请确保目标实例状态正常。 手动快照和自动快照不可同时进行。 前提条件 1. 快照功能依赖天翼云对象存储服务（ZOS），请确保您已开通与云搜索服务实例同资源池的对象存储服务，并创建存储桶。存储快照会产生费用，具体收费请参见对象存储计费说明。 2. 已获取自身天翼云账号的AK/SK。通过“账号中心>安全设置>用户AccessKey”中查看您的AccessKey、SecurityKey信息。如果忘记SecurityKey请工单联系客服重置。 创建及关闭自动备份 1. 登录云搜索服务控制台，进入实例管理列表页，选择需要创建备份的实例，进入实例详情页。 2. 在备份管理页面，点击开关开启备份能力，根据页面提示输入您天翼云的AK/SK，如果验证通过，即可点击下一步进行备份功能开通。 3. 开通成功进入快照列表页面，点击“自动备份设置”，在弹出的弹层上选择快照目标存储的存储桶，设置备份周期和备份对象，并选择备份期望的保留时间，最长可以保留30天。 4. 选择备份对象是索引时，需要填写备份的索引名称，支持使用“”匹配多个索引，例如“index”表示备份名称前缀时index的所有索引数据。您可通过“索引管理”功能先行查看实例内的索引名称。 5. 如您需要修改自动快照的创建规则，再次点击“自动创建备份”按钮进行修改，修改后立即生效，按照新设定的规则生成、删除相应快照，已生成部分的存量快照清理时长按原规则执行。 6. 如您不再需要自动备份，则可在快照列表页点击关闭自动备份，并在弹出的确认弹窗中选择是否保留快照信息，如不保留，则系统会自动删除从本次开启至本次结束期间自动备份产生的所有快照信息，如果选择保留，则本次开启至本次结束期间的快照信息得以保留，再次开启时将不再由系统进行删除，您可根据需要，手动在控制台进行删除。 7. 关闭自动备份期间快照自动清理不会执行。

本文介绍资源共享的功能概述 功能概述 资源共享（Resource Sharing）是指多账号间通过共享的方式将一个账号下的指定资源共享给一个或多个目标账号使用，共享资源即可在企业组织内共享，也可共享给天翼云任意云账号。 应用场景 企业在使用云服务的过程中，会创建多个云账号，并在这些账号下订购不同的云服务。某些场景下，企业需要在某个账号下集中采购某类云资源，并共享给企业中其他的云账号共同使用。此时，客户可以使用“资源共享”服务解决该问题。 例如： 将VPC子网跨账号共享给某业务线全部成员，实现成员间的网络互通。 将存储介质共享给其它账号共同使用，实现资源的统一存储。

本章节为您介绍如何修改堡垒机所属的子网。 云堡垒机（原生版）实例的子网在购买时选择，若用户需要临时修改子网，可参考本文进行操作。 操作步骤 1. 登录天翼云控制中心。 2. 单击页面顶部的区域选择框，选择区域。 3. 在产品服务列表页，选择“安全 > 云堡垒机（原生版）”，进入云堡垒机实例管理页面。 4. 选择需要修改默认路由的堡垒机实例，单击图标。 5. 在弹出的窗口中配置选择归属的子网后，单击“保存”。

本文为您介绍统一身份认证IAM。 统一身份认证（Identity and Access Management，简称IAM）服务，是提供用户进行权限管理的基础服务，可以帮助您安全的控制云服务和资源的访问及操作权限。 IAM为您提供的主要功能包括：精细的权限管理、安全访问、通过用户组批量管理用户权限、委托其他帐号管理资源等。 身份管理 访问控制IAM中的身份包括IAM用户、IAM用户组。 IAM用户有确定的登录密码和访问密钥，IAM用户组则用于分类职责相同的IAM用户，IAM用户和IAM用户组均可以被赋予一组权限策略。在需要协同使用资源的场景中，避免直接共享天翼云账号的密码等信息，缩小不同IAM子用户的信息可见范围，可为IAM子用户和IAM用户组按需授权，即使不慎泄露机密信息，也不会危及天翼云账号下的所有资源。 权限管理 统一身份认证IAM通过权限策略描述授权的具体内容，权限策略包括固定的基本元素“Action”“Effect”等，更多信息，请参见“第2步：创建自定义策略”。为IAM用户、IAM用户组在全局授权或企业项目授权中添加一组权限策略后，即可让其有权限访问指定资源。 权限策略分为系统策略和自定义策略: 系统策略 ：预置的系统策略，您只能使用不能修改。云硬盘备份VBS相关的系统策略包含如下： VBS Admin：云硬盘备份服务的管理者权限，包含云硬盘备份所有控制权限（不含订单类权限）； VBS Viewer：云硬盘备份服务的观察者权限，包含云硬盘备份服务的列表页与详情页面权限； 自定义策略 ：您按需自行创建和维护的权限策略，关于自定义策略的操作和示例，请参见“[第2步：创建自定义策略](

前提条件 云主机的状态为“运行中”。 需保证根目录可写入，且剩余空间大于300MB。 使用SUSE 11 SP4镜像创建的云主机，内存需要大于等于4G时才能支持一键式重置密码功能。 云主机使用的VPC网络DHCP不能禁用。 云主机网络正常通行。 云主机安全组出方向规则满足如下要求： − 协议：TCP − 端口范围：80 − 远端地址：169.254.0.0/16 如果您使用的是默认安全组出方向规则，则已经包括了如上要求，可以正常初始化。默认安全组出方向规则为： − 协议：ALL − 端口范围：ALL − 远端地址：0.0.0.0/16 操作步骤 1. 检查云主机是否已安装密码重置插件CloudResetPwdAgent和CloudResetPwdUpdateAgent。 提供如下两种方法供您检查。 方法一：在管理控制台查询 a. 登录管理控制台。 b. 选择“计算 > 弹性云主机”。 c. 选中待检查的弹性云主机，并选择“重置密码”。 如果界面弹窗提示用户给云主机重置密码，表示已安装一键式重置密码插件，结束。 如果界面弹窗提示下载重置密码脚本并安装，表示未安装一键式重置密码插件，请继续执行步骤2进行安装。 方法二：登录弹性云主机查询 a. 以root用户登录弹性云主机。 b. 执行以下命令，查询是否已安装CloudResetPwdAgent和CloudResetPwdUpdateAgent。 ls lh /Cloud 查询是否已安装一键式重置密码插件 检查结果是否如上图所示。 是，表示已安装一键式重置密码插件，结束。 否，表示未安装一键式重置密码插件，请继续执行步骤2进行安装。 2. 下载一键式重置密码插件CloudResetPwdAgent。 说明： 弹性云主机需要绑定弹性公网IP才能自动更新一键式重置密码插件。 下载并解压软件包CloudResetPwdAgent.zip。 请参考获取一键式重置密码插件，下载对应的一键式重置密码插件CloudResetPwdAgent.zip并完成完整性校验。 安装一键式重置密码插件对插件的具体放置目录无特殊要求，请您自定义。 执行以下命令，解压软件包CloudResetPwdAgent.zip。 安装一键式重置密码插件对插件的解压目录无特殊要求，请您自定义。 unzip o d 插件解压目录 CloudResetPwdAgent.zip 示例： 假设插件解压的目录为/home/linux/test，则命令行如下： unzip o d /home/linux/test CloudResetPwdAgent.zip 3. 安装一键式重置密码插件。 a. 执行以下命令，进入文件CloudResetPwdUpdateAgent.Linux。 cd CloudResetPwdAgent/CloudResetPwdUpdateAgent.Linux b. 执行以下命令，添加文件setup.sh的运行权限。 chmod +x setup.sh c. 执行以下命令，安装插件。 sudo sh setup.sh d. 执行以下命令，检查密码重置插件是否安装成功。 service cloudResetPwdAgent status service cloudResetPwdUpdateAgent status 如果服务CloudResetPwdAgent和CoudResetPwdUpdateAgent的状态均不是“unrecognized service”，表示插件安装成功，否则安装失败。 说明： 您也可以根据步骤1，检查密码重置插件是否安装成功。 如果密码重置插件安装失败，请检查安装环境是否符合要求，并重试安装操作。

短信认证登录操作步骤 说明 使用短信认证登录，请确保该云堡垒机已开启短信认证方式，具体开启操作请参考：认证设置章节。 1.启动浏览器，在浏览器Web地址栏中输入系统登录地址，进入到系统登录页面。 2.选择认证方式为短信认证。 3.输入系统用户账号和密码，输入图形验证码。 4.单击“登录”，成功登录到堡垒机系统。 令牌认证登录操作步骤 说明 使用手机令牌登录前，请先确保您已经为该账号绑定手机令牌，绑定手机令牌操作请参见：手机令牌章节。 1.启动浏览器，在浏览器Web地址栏中输入系统登录地址，进入到系统登录页面。 2.选择认证方式为令牌认证。 3.输入系统用户账号和密码，输入手机动态口令。 4.单击“登录”，成功登录到堡垒机系统。 注意 动态口令的获取需要使用天翼云APP虚拟MFA管理功能，若未安装天翼云APP，请进入手机应用商店搜索”天翼云“，下载安装天翼云手机APP。

短信认证登录操作步骤 说明 使用短信认证登录，请确保该云堡垒机已开启短信认证方式，具体开启操作请参考：认证设置章节。 1.启动浏览器，在浏览器Web地址栏中输入系统登录地址，进入到系统登录页面。 2.选择认证方式为短信认证。 3.输入系统用户账号和密码，输入短信验证码。 4.单击“登录”，成功登录到堡垒机系统。 令牌认证登录操作步骤 说明 使用手机令牌登录前，请先确保您已经为该账号绑定手机令牌，绑定手机令牌才做请参见：手机令牌章节。 1.启动浏览器，在浏览器Web地址栏中输入系统登录地址，进入到系统登录页面。 2.选择认证方式为令牌认证。 3.输入系统用户账号和密码，输入手机动态口令。 4.单击“登录”，成功登录到堡垒机系统。 注意 动态口令的获取需要使用天翼云APP虚拟MFA管理功能，若未安装天翼云APP，请进入手机应用商店搜索”天翼云“，下载安装天翼云手机APP。

短信认证登录操作步骤 说明 使用短信认证登录，请确保该云堡垒机已开启短信认证方式，具体开启操作请参考：认证设置章节。 1. 启动浏览器，在浏览器Web地址栏中输入系统登录地址，进入到系统登录页面。 2. 选择认证方式为短信认证。 3. 输入系统用户账号和密码，输入图形验证码。 4. 单击“登录”，成功登录到堡垒机系统。 令牌认证登录操作步骤 说明 使用手机令牌登录前，请先确保您已经为该账号绑定手机令牌，绑定手机令牌才做请参见：手机令牌章节。 1. 启动浏览器，在浏览器Web地址栏中输入系统登录地址，进入到系统登录页面。 2. 选择认证方式为令牌认证。 3. 输入系统用户账号和密码，输入手机动态口令。 4. 单击“登录”，成功登录到堡垒机系统。 注意 动态口令的获取需要使用天翼云app虚拟MFA管理功能，若未安装天翼云app，请进入手机应用商店搜索”天翼云“，下载安装天翼云手机APP。

VPC接入方式 天翼云提供了多种VPC连接方案，以满足用户不同场景下的诉求。 使用弹性IP或NAT网关，可以让虚拟私有云内的云主机或物理机与公网Internet进行互通。 在同一个区域内，使用对等连接功能可以让不同VPC之间的云主机或物理机互相访问。 通过虚拟专用网络VPN、云专线功能将VPC和您的本地数据中心连通。 更多信息，请参考VPC和外部网络连接。 如何访问虚拟私有云 在天翼云中，提供了两种方式访问虚拟私有云。 管理控制台方式：管理控制台提供了一个Web界面，您可以使用直观的界面进行相应的操作。登录“控制中心”，选择“网络>虚拟私有云”。 API方式（Application Programming Interface）：用户可以使用云平台提供的API接口，来对虚拟私有云进行操作。可将虚拟私有云集成到第三方系统，用于二次开发，具体操作请参见《虚拟私有云API参考》。

策略名称 策略描述 授权范围 配置说明 CtyunBssAdmin 控制天翼云订单、合同、标签、客户信息管理全量操作权限（包含一类、二类资源池节点）。 全局级 若子账号涉及开单、支付、订单管理等操作，需配置该策略。 ecs admin 控制天翼云云主机服务开通、管理权限。 资源池 若子账号涉及开通、管理云主机（云等保专区下单涉及开通主机），需要配置该策略。 vpc admin 控制天翼云弹性IP开通、新建、配置等管理权限。 资源池 若子账号涉及配置、新建、管理弹性网络（子网、EIP、安全组、弹性网卡、VIP、子网路由等），需要配置该策略。

参数 描述 是否必填 metadata.name PVC的名称。 是 metadata.namespace 命名空间。 取值：HBlock CSI安装时绑定的命名空间名称。 是 storage 卷的容量，单位GiB。 是 storageClassName 指定PVC所使用的 StorageClass 名称。 是

资源名称 配额（个） 备注 命名空间 10 一个账号可最多创建的命名空间数量。 容灾管理中心 100 一个账号可最多创建的容灾管理中心数量。 应用 每个容灾管理中心能接入的应用数量无限制。

步骤说明 在目标VPC中的ECS实际中添加入方向安全组规则，用于放行私网NAT过来的访问流量。 操作步骤 具体操作参见添加安全组规则。 步骤九：测试连通性 步骤说明 我们通过验证弹性云主机是否可以通过私网NAT网关访问另一个VPC的ECS服务，来测试网络连通性。 操作步骤 1. 登录天翼云控制台，选择”计算>弹性云主机”。 2. 进入弹性云主机控制台，选择准备工作中创建的弹性云主机，点击右侧“远程登录”登录弹性云主机。 3. 登录完成，通过nc访问的云资源DNAT后的地址及端口，测试云主机是否能够通过私网NAT网关访问。 说明弹性云主机可以通过转换后的中转IP地址，实现重叠地址段的服务访问。

检查CoreDNS Pod的网络连通性 登录CoreDNS Pod所在集群节点。 执行ps aux grep coredns，查询CoreDNS的进程ID。 执行nsenter t n bash，进入CoreDNS所在容器网络命名空间，其中pid为上一步得到的进程ID。 测试网络连通性 运行telnet 6443，测试Kubernetes API Server的连通性。其中apiserverclusterip为default命名空间下Kubernetes服务的IP地址，默认为10.96.0.1。 运行dig @ ，测试CoreDNS Pod到上游DNS服务器的连通性。其中domain为测试域名，upstreamdnsserverip为上游DNS服务器地址。 常见问题 现象 原因 处理方案 业务Pod无法通过CoreDNS服务IP解析 机器负载高、kubeproxy没有正常运行、安全组没有放开UDP协议53端口等。 检查安全组是否放开UDP 53端口，若已放开请提交工单排查。 业务Pod无法连通CoreDNS容器副本 容器网络异常或安全组没有放开ICMP。 检查安全组是否放开ICMP，若已放开请提交工单排查。 业务Pod无法通过CoreDNS容器IP解析 机器负载高、安全组没有放开UDP协议53端口等。 检查安全组是否放开UDP 53端口，若已放开请提交工单排查。 检查业务Pod到CoreDNS的网络连通性 选择以下任意一种方式，进入客户端Pod容器网络。 方法一（适合镜像本身含有sh、ping等命令的Pod）： 使用kubectl exec it n /bin/sh命令进入到Pod中。 方法二（适合镜像本身不含常用命令、且稳定运行的Pod）： 登录业务Pod所在集群节点。 执行ps aux grep 命令，查询业务容器的进程ID。 执行nsenter t n bash命令，进入业务Pod所在容器网络命名空间。其中pid为上一步得到的进程ID。 方法三：（适合频繁重启的Pod） 如果运行时是docker：登录业务Pod所在集群节点。 执行docker ps a grep 命令，查询k8sPOD 开头、使用镜像为pause的沙箱容器，记录容器ID。 执行docker inspect grep netns命令，查询/var/run/docker/netns/xxxx的容器网络命名空间路径。 执行nsenter n bash命令，进入容器网络命名空间。(其中netns 路径为上一步得到的路径，且n和 之间不加空格)。 如果运行时是containerd：登录业务Pod所在集群节点，执行crictl ps a grep 根据Pod名称查看容器id。 根据查到的容器id，执行ctr n k8s.io container ls grep 查找完整的容器id（ctr使用的时候，必须写全，而docker对于id的长度没要求） 执行ctr n k8s.io container info grep i pid C 3获取业务Pod中pause容器的pid path里面的数字即为pause容器的pid。 执行nsenter t n 进入容器网络命名空间。 进入容器网络命名空间后，测试网络连通性。 执行dig @ 命令，测试业务Pod到CoreDNS服务kubedns解析查询的连通性。其中 为测试域名， 为kubesystem命名空间中kubedns的服务IP。默认为10.96.0.10。 执行ping 命令，测试业务Pod到CoreDNS容器副本的连通性。其中 为kubesystem命名空间中CoreDNS Pod的IP。 执行dig @ 命令，测试业务Pod到CoreDNS容器副本解析查询的连通性。其中 为测试域名， 为kubesystem命名空间中CoreDNS Pod的IP。 常见问题 现象 原因 处理方案 业务Pod无法通过CoreDNS服务IP解析 机器负载高、kubeproxy没有正常运行、安全组没有放开UDP协议53端口等。 检查安全组是否放开UDP 53端口，若已放开请提交工单排查。 业务Pod无法连通CoreDNS容器副本 容器网络异常或安全组没有放开ICMP。 检查安全组是否放开ICMP，若已放开请提交工单排查。 业务Pod无法通过CoreDNS容器IP解析 机器负载高、安全组没有放开UDP协议53端口等。 检查安全组是否放开UDP 53端口，若已放开请提交工单排查。 当无法定位问题时，需要抓包进行辅助诊断。在正常情况下，抓包对业务无影响，仅会增加小部分的CPU负载和磁盘写入。 登录出现异常的业务Pod、CoreDNS Pod所在节点。 在ECS（非容器内）执行以下命令 tcpdump i any port 53 C 20 W 200 w /tmp/clientdns.pcap ，可以将最近所有的53端口信息抓取到文件中。以上命令会对抓取到的包进行rotate，最多可以写200个20 MB的.pcap文件。 结合业务日志的报错定位到精准的报错时间的报文信息。

接口功能介绍 保存用户各类告警的告警配置，如当告警发生时，是否发送邮件。 接口约束 此功能为免费功能。 URI POST /v1/setFocus/updateAlert 路径参数 无 Query参数 无 请求参数 请求头header参数 参数 是否必填 参数类型 说明 示例 下级对象 regionid 是 String 资源池id 100054c0416811e9a6690242ac110002 urlType 是 String 请求地址类型。CTAPI CTAPI ContentType 是 String ContentType application/json 请求体body参数 参数 是否必填 参数类型 说明 示例 下级对象 alertType 是 Integer 告警类型 1网页放篡改 2异常登录 3暴力破解 4Linux漏洞 5基线检测 6弱口令检测 7病毒查杀 8可疑操作 9后门检测 10win漏洞 11反弹shell 1 status 是 Integer 告警开关 0关闭 1打开 0 totalStatus 是 Integer 告警总开关 0关闭 1打开 0 noticeType 是 Array of Integers 告警通知方式 0短信 1邮件 2站内信 3mdr [1] alertEvent 是 Array of Integers 告警事件等级 0超高危 1高危 2中危 3低危 4服务器发送异常登录或爆破登录 5服务器账户发生破解 6存在不通过的基线检测项 7存在弱口令 8超危 [1,2,3]

本节介绍如何为服务器解绑企业版/旗舰版配额。 通过切换版本操作，支持将服务器的配额版本从企业版/旗舰版 切换为基础版，切换完成后立即释放该服务器已使用的防护配额。您可以将释放后的防护配额分配给其他服务器使用。 注意 为服务器解绑配额后，服务器使用基础版进行防护，基础版为免费版本，其防护功能受限，更多信息请参见产品规格。 前提条件 用户的服务器已绑定企业版/旗舰版防护配额。 操作步骤 1. 登录服务器安全卫士（原生版）控制台。 2. 在左侧导航栏，选择“资产管理 > 服务器列表”，进入服务器列表页面。 3. 在服务器列表中找到您需要解绑配额的服务器，单击操作列的“切换版本”。 如果需要批量解绑配额，可以在服务器列表中勾选需要解绑配额的服务器，单击列表上方的“批量切换版本”。 4. 在弹出的切换版本窗口。选择“基础版”，单击“确定”。

SQL Server 2016安装步骤 以下安装方法以SQL Server 2016安装为例，云主机操作系统为Windows Server 2012 数据中心版 R2 64位。 1. 点击下载好的“SQLServer2016SSEIEval.exe”文件，进入SQL安装向导，进行安装操作。 2. 选择“自定义”安装，等待安装程序准备完毕。 3. 选择安装的语言，以及安装目录，点击“安装”。等待安装程序下载，下载完毕后自动进入SQL Server安装中心。 4. 点击左侧的“安装”导航栏，选择第一个选项，即“全新SQL Server独立安装或向现有安装添加功能”。 5. 选择“指定可用版本”，采用免费镜像模式进行安装。（若要正式搭建Sharepoint，需要输入密钥安装SQL Server完整版本。）点击“下一步”。 6. 勾选“我接受许可条款和隐私声明”。点击“下一步”。 7. 如果需要使用Microsoft Update更新则勾选。如果不需要则不用勾选。点击“下一步”。 8. 勾选“全选”，选择安装全部功能后，取消勾选“针对外部数据的PolyBase查询服务”、R服务（数据库内）”以及“R Server（独立）”功能。该云主机为域控制器，PolyBase无法在域控制器中使用，因此取消该选项。点击“下一步”。 9. 勾选“默认实例”。使用默认值来配置实例，不需要任何修改。点击“下一步”。 10. 设置SQL server Configuration。 修改“SQL Server 数据库引擎”的“账户名”为“NT AUTHORITYNETWORK SERVICE”。 设置“SQL Server Analysis Services”为Windows Server添加AD，DHCP，DNS，IIS服务中设置的域账户和密码。详细步骤参见：为Windows Server添加AD，DHCP，DNS，IIS服务。 设置完毕之后点击“下一步”。 11. 勾选“Windows身份验证模式”，点击“添加当前用户”，将当前账号作为SQL Server的管理员账号。点击“下一步”。 12. 勾选“多维和数据挖掘模式”。点击“添加当前用户”，为当前账号添加Analysis Services的管理员权限。点击“下一步”。 13. 设置Reporting Services，在Reporting Services本机模式中，勾选“安装和配置”，在Reporting Services SharePoint集成模式下，勾选“仅安装”。单击“下一步”。 14. 点击“添加当前用户”，为当前账号添加Distributed Replay 控制器的权限。点击“下一步”。 15. Distributed Replay客户端设施使用默认值，不修改。点击“下一步”。 16. 确认SQL Server配置，点击“安装”开始安装。 17. 检查功能状态是否全部成功，如果全部成功，点击“关闭”，SQL Server安装完成。

操作场景 当您不再需要保护指定实例时，请执行删除保护实例操作，解除生产站点服务器和天翼云容灾站点间的复制关系。 删除保护实例不会删除生产站点的云服务器资源，对生产站点业务无影响。 使用须知 保护实例反向重保护后同步完成，删除保护实例，需要在云容灾网关服务器上手工卸载生产站点服务器原先的硬盘，然后在生产站点服务器再手工挂载原先的硬盘。 保护实例反向重保护后初始同步过程中，如果删除保护实例，生产站点服务器可能无法启动，建议等初始同步完成后再删除保护实例。 前提条件 待删除的保护实例有其它操作正在执行时，不可以执行删除操作。 操作步骤 1. 登录管理控制台。单击服务列表，选择“存储 > 存储容灾服务”。 2. 进入“存储容灾服务”页面。 3. 在“异步复制”页面，单击待删除的保护实例所在站点复制对的保护实例数。进入对应站点复制对的保护组页面。 4. 在左侧导航选择待删除保护实例所在的保护组。进入保护组详情页面。 5. 在保护实例列表中，单击待删除的保护实例所在行操作列的“更多 > 删除”。如果需要批量删除保护实例，可同时勾选需要删除的保护实例，单击保护实例列表上方的“删除”。 6. 在弹出的确认对话框中，根据需求选择相应的操作。删除容灾站点的服务器/云硬盘： 1. 不勾选：生产站点服务器与天翼云容灾站点间的复制关系解除，但是会保留容灾站点的云服务器、及容灾站点服务器上挂载的云硬盘。 2. 勾选：生产站点服务器与天翼云容灾站点间的复制关系解除，并同步删除容灾站点服务器、及容灾站点服务器上挂载的云硬盘。如果不存在云服务器则直接删除云硬盘。 7. 单击“是”，删除保护实例。 8. 删除完成后，生产站点服务器将出现在“未保护的服务器”列表中。。 删除保护实例不会自动清理该保护实例创建的容灾演练，需在容灾演练页面进行删除。